分类账首席技术官警示：下载量过亿的NPM漏洞危及加密用户安全_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

分类账首席技术官警示：下载量过亿的NPM漏洞危及加密用户安全

2025-09-09 17:55:48

核心要点

近期发生的NPM库攻击事件中，攻击者将窃取加密货币的恶意软件植入核心NPM库。这些恶意程序会静默拦截网页和钱包活动，通过高级字符串相似度算法巧妙替换或劫持受害者的加密地址。Ledger首席技术官Charles Guillemet警告称，加密货币用户正处于高度风险之中。

NPM攻击事件始末

这场加密货币领域的安全危机，源于一封钓鱼邮件攻陷了知名开发者的NPM账户。攻击者在一夜之间将多个热门JavaScript库变成了隐秘的加密货币窃取工具。

NPM工具包是互联网基础设施的核心组件，年下载量达数十亿次。无论是开发钱包应用、加密资产追踪器，还是构建前端界面，这些库文件很可能存在于软件架构中。对于通过DeFi平台、交易所甚至硬件钱包集成使用这些库的数百万人而言，此次漏洞影响范围堪称无孔不入。

攻击手法解析

事件过程宛如经典重演：一位知名NPM维护者成为定向钓鱼攻击的受害者。黑客通过伪造的NPM技术支持邮件骗取开发者双重验证信息，随后利用凭证推送多个流行软件包的恶意版本。这些更新包表面功能正常，实则暗藏实时读取、改写和重定向加密交易的恶意代码。

技术细节揭秘

恶意代码会监控浏览器请求、钱包应用调用及API通信等各类钱包活动，动态替换交易目标地址。正如Guillemet在公开警告中所言："恶意载荷通过实时替换加密地址来窃取资金。"用户原以为发送至可信地址的代币，可能正流向攻击者钱包——整个过程没有警示标志，更无挽回余地。

更令人担忧的是，攻击者采用高级字符串匹配算法使恶意地址与真实地址高度相似，轻易骗过肉眼检查。这一发现引发交易者恐慌，专家纷纷呼吁提高警惕。

Ledger首席技术官为何拉响警报

Ledger介入此事不仅因其硬件钱包行业地位，更因CTO Charles Guillemet认为这是链上交易的重大威胁。硬件钱包通过独立显示和验证交易细节的特性，构筑了最后防线——即使电脑感染恶意脚本，外部代码也无法篡改Ledger设备显示的交易信息。

对软件钱包用户而言风险更高：NPM攻击注入的恶意程序可劫持界面、替换地址甚至篡改应用显示内容，使得交易安全性难以保障。Guillemet建议在安全补丁发布前暂停交易，静待风暴平息。

加密货币为何如此脆弱

这并非加密领域首次因数字基础设施暴露漏洞。2021年SushiSwap的MISO平台因供应链代码问题遭窃300万美元；2023年3CX黑客事件同样利用供应链手段跨行业攻击加密公司；政府机构亦曾付出惨痛代价认识到：供应链攻击既是代码问题，更是信任危机，而在加密领域，信任往往转瞬即逝。

尽管安全团队正在清除受感染的NPM包，但现实已然清晰：任何开源依赖都可能成为特洛伊木马。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文